《鐵路關(guān)鍵信息基礎設施安全保護管理辦法（征求意見(jiàn)稿）》公開(kāi)征求意見(jiàn)

分類(lèi): 安全資訊

發(fā)布時(shí)間: 2023-07-21 15:44:11

標簽:

作者:

閱讀量: 26

新聞來(lái)源: 國家鐵路局

鐵路關(guān)鍵信息基礎設施安全保護管理辦法(征求意見(jiàn)稿)

第一章 總則

第一條 為了保障鐵路關(guān)鍵信息基礎設施安全，維護網(wǎng)絡(luò )安全，根據《中華人民共和國網(wǎng)絡(luò )安全法》《關(guān)鍵信息基礎設施安全保護條例》等法律、行政法規，制定本辦法。

第二條 鐵路關(guān)鍵信息基礎設施的安全保護和監督管理工作，適用本辦法。

前款所稱(chēng)鐵路關(guān)鍵信息基礎設施是指在鐵路領(lǐng)域，一旦遭到破壞、喪失功能或者數據泄露，可能?chē)乐匚：野踩?、國計民生和公共利益的重要網(wǎng)絡(luò )設施、信息系統等。

第三條 國家鐵路局依法負責全國鐵路關(guān)鍵信息基礎設施安全保護和監督管理工作，是鐵路關(guān)鍵信息基礎設施安全保護工作部門(mén)。

地區鐵路監督管理局依據國家鐵路局要求，開(kāi)展相關(guān)工作。

第四條 鐵路關(guān)鍵信息基礎設施安全保護堅持強化和落實(shí)鐵路關(guān)鍵信息基礎設施運營(yíng)者(以下簡(jiǎn)稱(chēng)運營(yíng)者)主體責任，加強和規范保護工作部門(mén)監督管理，發(fā)揮社會(huì )各方面的作用，共同保護鐵路關(guān)鍵信息基礎設施安全。

第五條 任何個(gè)人和組織不得實(shí)施非法侵入、干擾、破壞鐵路關(guān)鍵信息基礎設施的活動(dòng)，不得危害鐵路關(guān)鍵信息基礎設施安全。

未經(jīng)國家網(wǎng)信部門(mén)、國務(wù)院公安部門(mén)批準或者國家鐵路局、運營(yíng)者授權，任何個(gè)人和組織不得對鐵路關(guān)鍵信息基礎設施實(shí)施漏洞探測、滲透性測試等可能影響或者危害鐵路關(guān)鍵信息基礎設施安全的活動(dòng)。

第二章 鐵路關(guān)鍵信息基礎設施認定

第六條 國家鐵路局負責制定鐵路關(guān)鍵信息基礎設施認定規則。

制定認定規則應當主要考慮下列因素：

(一)網(wǎng)絡(luò )設施、信息系統等對于鐵路關(guān)鍵核心業(yè)務(wù)的重要程度;

(二)網(wǎng)絡(luò )設施、信息系統等一旦遭到破壞、喪失功能或者數據泄露可能帶來(lái)的危害程度;

(三)對其他行業(yè)和領(lǐng)域的關(guān)聯(lián)性影響。

第七條 國家鐵路局根據認定規則，負責組織認定鐵路關(guān)鍵信息基礎設施，及時(shí)將認定結果通知運營(yíng)者，并通報國務(wù)院公安部門(mén)。

第八條 鐵路關(guān)鍵信息基礎設施發(fā)生改建、擴建、運營(yíng)者變更等較大變化，可能影響認定結果的，運營(yíng)者應當及時(shí)將相關(guān)情況報告國家鐵路局。國家鐵路局自收到報告之日起3個(gè)月內完成重新認定，將認定結果通知運營(yíng)者，并通報國務(wù)院公安部門(mén)。

第三章 運營(yíng)者責任和義務(wù)

第九條 運營(yíng)者應當在國家網(wǎng)絡(luò )安全等級保護制度的基礎上，突出保護重點(diǎn)，落實(shí)防護措施，加強全生命周期管理，保障鐵路關(guān)鍵信息基礎設施安全穩定運行，維護數據的完整性、保密性和可用性。

第十條 新建、改建、擴建鐵路關(guān)鍵信息基礎設施的，運營(yíng)者應當做到安全防護措施與關(guān)鍵信息基礎設施同步規劃、同步建設、同步使用。

運營(yíng)者應當按照國家有關(guān)規定對安全保護措施予以驗證。

第十一條 運營(yíng)者應當建立健全網(wǎng)絡(luò )安全保護制度和責任制，保障人力、財力、物力投入。

運營(yíng)者的主要負責人對所運營(yíng)的鐵路關(guān)鍵信息基礎設施安全保護負總責，領(lǐng)導關(guān)鍵信息基礎設施安全保護和重大網(wǎng)絡(luò )安全事件處置工作，組織研究解決重大網(wǎng)絡(luò )安全問(wèn)題。

運營(yíng)者應明確一名領(lǐng)導班子成員分管鐵路關(guān)鍵信息基礎設施安全保護工作，并為每個(gè)鐵路關(guān)鍵信息基礎設施明確安全管理責任人。

第十二條 運營(yíng)者應當設置專(zhuān)門(mén)安全管理機構，并對專(zhuān)門(mén)安全管理機構負責人和關(guān)鍵崗位人員進(jìn)行安全背景審查。

運營(yíng)者應當保障專(zhuān)門(mén)安全管理機構的人員配備，開(kāi)展與網(wǎng)絡(luò )安全和信息化有關(guān)的決策，應當有專(zhuān)門(mén)安全管理機構人員參與。

專(zhuān)門(mén)安全管理機構的負責人和關(guān)鍵崗位人員的身份、安全背景等發(fā)生變化或必要時(shí)，運營(yíng)者應當根據情況重新進(jìn)行安全背景審查。

第十三條 專(zhuān)門(mén)安全管理機構具體負責本單位的鐵路關(guān)鍵信息基礎設施安全保護工作，履行下列職責：

(一)建立健全網(wǎng)絡(luò )安全管理、評價(jià)考核制度，擬訂鐵路關(guān)鍵信息基礎設施安全保護計劃;

(二)組織推動(dòng)網(wǎng)絡(luò )安全防護能力建設，開(kāi)展網(wǎng)絡(luò )安全監測、檢測和風(fēng)險評估;

(三)按照國家及鐵路行業(yè)要求，制定本單位網(wǎng)絡(luò )安全事件應急預案，定期開(kāi)展應急演練，處置網(wǎng)絡(luò )安全事件;

(四)認定網(wǎng)絡(luò )安全關(guān)鍵崗位，組織開(kāi)展網(wǎng)絡(luò )安全工作考核，提出獎勵和懲處建議;

(五)組織網(wǎng)絡(luò )安全教育、培訓;

(六)履行個(gè)人信息和數據安全保護責任，建立健全個(gè)人信息和數據安全保護制度;

(七)對鐵路關(guān)鍵信息基礎設施設計、建設、運行、維護等服務(wù)實(shí)施安全管理;

(八)按照規定報告網(wǎng)絡(luò )安全事件和重要事項。

第十四條 運營(yíng)者應當加強供應鏈安全保護，優(yōu)先采購安全可信的網(wǎng)絡(luò )產(chǎn)品和服務(wù);采購網(wǎng)絡(luò )產(chǎn)品和服務(wù)影響或者可能影響國家安全的，運營(yíng)者應當預判網(wǎng)絡(luò )產(chǎn)品和服務(wù)投入使用后可能帶來(lái)的國家安全風(fēng)險，按照國家有關(guān)規定申報網(wǎng)絡(luò )安全審查。

第十五條 運營(yíng)者應當加強數據安全保護，明確重要數據和個(gè)人信息的保護措施，將在我國境內運營(yíng)中收集和產(chǎn)生的個(gè)人信息和重要數據存儲在境內。因業(yè)務(wù)需要，確需向境外提供數據的，應當按照國家相關(guān)規定和標準進(jìn)行安全評估。法律、行政法規另有規定的，依照其規定執行。

第十六條 運營(yíng)者應當自行或者委托網(wǎng)絡(luò )安全服務(wù)機構對鐵路關(guān)鍵信息基礎設施每年至少進(jìn)行一次網(wǎng)絡(luò )安全檢測和風(fēng)險評估，對發(fā)現的安全問(wèn)題及時(shí)整改，并按照國家鐵路局要求報送情況。

第十七條 法律、行政法規和國家有關(guān)規定要求使用商用密碼進(jìn)行保護的鐵路關(guān)鍵信息基礎設施，運營(yíng)者應當使用商用密碼進(jìn)行保護，自行或者委托商用密碼檢測機構每年至少開(kāi)展一次商用密碼應用安全性評估。

商用密碼應用安全性評估應當與鐵路關(guān)鍵信息基礎設施安全檢測和風(fēng)險評估、網(wǎng)絡(luò )安全等級測評制度相銜接，避免重復評估、測評。

第十八條 運營(yíng)者應當加強全過(guò)程保密管理，采購網(wǎng)絡(luò )產(chǎn)品和服務(wù)，應當按照規定與提供者簽訂安全保密協(xié)議，明確提供者的技術(shù)支持和安全保密義務(wù)與責任，并對義務(wù)與責任履行情況進(jìn)行監督。

第十九條 運營(yíng)者應當制定本單位的監測預警和信息通報制度，加強對鐵路關(guān)鍵信息基礎設施監測，研判整體安全態(tài)勢。

第二十條 鐵路關(guān)鍵信息基礎設施發(fā)生重大網(wǎng)絡(luò )安全事件或者發(fā)現重大網(wǎng)絡(luò )安全威脅時(shí)，運營(yíng)者按照有關(guān)規定向國家鐵路局、公安機關(guān)報告，并立即啟動(dòng)本單位網(wǎng)絡(luò )安全事件應急預案。

鐵路關(guān)鍵信息基礎設施發(fā)生特別重大網(wǎng)絡(luò )安全事件或者發(fā)現特別重大網(wǎng)絡(luò )安全威脅時(shí)，國家鐵路局應當在收到報告后，及時(shí)向國家網(wǎng)信部門(mén)、國務(wù)院公安部門(mén)報告。

第二十一條 運營(yíng)者發(fā)生合并、分立、解散等情況，應當及時(shí)報告國家鐵路局，并按照國家鐵路局的要求對鐵路關(guān)鍵信息基礎設施進(jìn)行處置，確保安全。

第四章 保障和監督

第二十二條國家鐵路局應當制定鐵路關(guān)鍵信息基礎設施安全規劃，明確保護目標、基本要求、工作任務(wù)、具體措施。

第二十三條國家鐵路局應當組織建立鐵路關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全監測預警制度，充分利用網(wǎng)絡(luò )安全信息共享機制，及時(shí)掌握鐵路關(guān)鍵信息基礎設施運行狀況、安全態(tài)勢，預警通報網(wǎng)絡(luò )安全威脅和隱患，指導做好安全防范工作。

第二十四條 國家鐵路局應當組織建立鐵路關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全事件應急預案體系，定期組織應急演練;指導運營(yíng)者做好網(wǎng)絡(luò )安全事件應對處置，并根據需要組織提供技術(shù)支持與協(xié)助。

第二十五條 國家鐵路局定期組織開(kāi)展鐵路關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全檢查檢測，指導監督運營(yíng)者及時(shí)整改安全隱患、完善安全措施。

檢查工作不得收取費用，不得要求被檢查單位購買(mǎi)指定品牌或者指定生產(chǎn)、銷(xiāo)售單位的產(chǎn)品和服務(wù)。

第二十六條 運營(yíng)者對國家鐵路局依法開(kāi)展的網(wǎng)絡(luò )安全檢查檢測工作，以及公安、國家安全、保密行政管理、密碼管理等有關(guān)部門(mén)依法開(kāi)展的鐵路關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全檢查工作應當予以配合。

第二十七條 國家鐵路局、網(wǎng)絡(luò )安全服務(wù)機構及其工作人員對于在鐵路關(guān)鍵信息基礎設施安全保護過(guò)程中獲取的信息，只能用于維護網(wǎng)絡(luò )安全，并嚴格按照有關(guān)法律、行政法規的要求確保信息安全，不得泄露、出售或者非法向他人提供。

第五章 法律責任

第二十八條 運營(yíng)者違反本辦法規定的，由國家鐵路局按照《關(guān)鍵信息基礎設施安全保護條例》等法律、行政法規的規定予以處罰。

第二十九條 國家鐵路局及其工作人員存在下列情形之一的，按照《關(guān)鍵信息基礎設施安全保護條例》等法律、行政法規的規定予以處分：

(一)未履行鐵路關(guān)鍵信息基礎設施安全保護和監督管理職責或者玩忽職守、濫用職權、徇私舞弊的;

(二)在開(kāi)展鐵路關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全檢查工作中收取費用，或者要求被檢查單位購買(mǎi)指定品牌或者指定生產(chǎn)、銷(xiāo)售單位的產(chǎn)品和服務(wù)的;

(三)將在鐵路關(guān)鍵信息基礎設施安全保護工作中獲取的信息用于其他用途，或者泄露、出售、非法向他人提供的。

第六章 附則

第三十條 本辦法自202X年X月X日起施行。